Законодательный уровень информационной безопасности. Лекция 1

1. ДПП ПП «Управление информационной безопасностью бизнеса» Модуль 1. Регламентные документы в сфере информационной безопасности

Лекция 1
Тема: ЗАКОНОДАТЕЛЬНЫЙ УРОВЕНЬ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
проф. Бойченко О.В.
Симферополь, 2023

2. Вопросы: 1. Законодательные акты РФ, затрагивающие вопросы информационной безопасности; 2. Другие законы и нормативные акты; 3.

Обзор зарубежного законодательства в
области информационной безопасности
(самоподготовка)
Литература:
Бойченко О.В. Информационная безопасность : учебное пособие./ Бойченко
О.В., Журавленко Н.И. – Симферополь, 2016. – 248 с.
Макаренко С. И. Информационная безопасность: учебное пособие. –
Ставрополь: СФ МГГУ им. М. А. Шолохова, 2009. – 372 с.: ил.
Щеглов А. Ю. Защита компьютерной информации от несанкционированного
доступа. – СПб.: Наука и Техника, 2004. – 384 с.
Хорошко В. А., Чекатков А. А. Методы и средства защиты информации. – М.:
Юниор, 2003. – 504 с.
Галатенко В. А. Основы информационной безопасности. – M.: Интернетуниверситет информационных технологий - www.INTUIT.ru, 2008. – 208 с.

3. 1. Федеральные Законы РФ, затрагивающие вопросы информационной безопасности;

статья 23 Конституции (12 декабря 1993 года), гарантирует
право на личную и семейную тайну, на тайну переписки, телефонных
переговоров, почтовых, телеграфных и иных сообщений,
в соответствии со статьей 24 органы государственной власти и
органы местного самоуправления, их должностные лица обязаны
обеспечить каждому возможность ознакомления с документами и
материалами, непосредственно затрагивающими его права и
свободы, если иное не предусмотрено законом.
статья 29 – гарантирует право свободно искать, получать,
передавать, производить и распространять информацию любым
законным способом.
статья 41 гарантирует право на знание фактов и обстоятельств,
создающих угрозу для жизни и здоровья людей.
статья 42 - право на знание достоверной информации о состоянии
окружающей среды.

4.

В Гражданском кодексе Российской Федерации (в своем
изложении мы опираемся на редакцию от 15 мая 2001 года)
фигурируют такие понятия, как банковская, коммерческая
и служебная тайна.
Согласно статье 139 ГК РФ, информация составляет
служебную или коммерческую тайну в случае, когда
информация имеет действительную или потенциальную
коммерческую ценность в силу неизвестности ее
третьим лицам, к ней нет свободного доступа на
законном основании, и обладатель информации
принимает меры к охране ее конфиденциальности.
Это подразумевает, как минимум, компетентность в
вопросах ИБ и наличие доступных (и законных) средств
обеспечения конфиденциальности.

5.

Уголовный кодекс РФ (редакция от 14 марта 2002 года).
Глава 28 УК РФ - «Преступления в сфере
компьютерной информации» - содержит три статьи:
статья 272. Неправомерный доступ к компьютерной
информации;
статья 273. Создание, использование и
распространение вредоносных программ для ЭВМ;
статья 274. Нарушение правил эксплуатации ЭВМ,
системы ЭВМ или их сети.
Статья 138 УК РФ, защищая конфиденциальность
персональных данных, предусматривает наказание за
нарушение тайны переписки, телефонных переговоров,
почтовых, телеграфных или иных сообщений.
Аналогичную роль для банковской и коммерческой тайны
играет статья 183 УК РФ.

6.

Интересы государства в плане обеспечения
конфиденциальности информации нашли наиболее полное
выражение в Законе РФ «О государственной тайне» (от
6 октября 1997 года).
Гостайна определена как защищаемые государством
сведения в области его военной, внешнеполитической,
экономической, разведывательной,
контрразведывательной и оперативно-розыскной
деятельности, распространение которых может
нанести ущерб безопасности РФ.
Средства защиты информации - это технические,
криптографические, программные и другие средства,
предназначенные для защиты сведений, составляющих
государственную тайну; средства, в которых они
реализованы, а также средства контроля
эффективности защиты информации

7.

Основополагающим среди российских законов по
информационной безопасности следует считать закон
«Об информации, информатизации и защите
информации» от 20 февраля 1995 года № 24-ФЗ.
информация - сведения о лицах, предметах, фактах,
событиях, явлениях и процессах независимо от формы их
представления;
документированная информация (документ) зафиксированная на материальном носителе информация
с реквизитами, позволяющими ее идентифицировать;
информационные процессы - процессы сбора,
обработки, накопления, хранения, поиска и
распространения информации;
информационная система - организационно
упорядоченная совокупность документов (массивов
документов) и информационных технологий, в том числе
с использованием средств вычислительной техники и
связи, реализующих информационные процессы;

8.

информационные ресурсы - отдельные документы и
отдельные массивы документов, документы и массивы
документов в информационных системах (библиотеках,
архивах, фондах, банках данных, других информационных
системах);
информация о гражданах (персональные данные) сведения о фактах, событиях и обстоятельствах жизни
гражданина, позволяющие идентифицировать его
личность;
конфиденциальная информация - документированная
информация, доступ к которой ограничивается в
соответствии с законодательством Российской
Федерации;
пользователь (потребитель) информации - субъект,
обращающийся к информационной системе или
посреднику за получением необходимой ему информации и
пользующийся ею.

9.

Закон выделяет цели защиты информации:
предотвращение утечки, хищения, утраты, искажения,
подделки информации;
предотвращение угроз безопасности личности,
общества, государства;
предотвращение несанкционированных действий по
уничтожению, модификации, искажению, копированию,
блокированию информации;
предотвращение других форм незаконного
вмешательства в информационные ресурсы и ИС,
обеспечение правового режима документированной
информации как объекта собственности;
защита конституционных прав граждан на сохранение
личной тайны и конфиденциальности персональных
данных, имеющихся в информационных системах;
сохранение государственной тайны,
конфиденциальности документированной информации в
соответствии с законодательством;
обеспечение прав субъектов в информационных
процессах и при разработке, производстве и применении
ИС, технологий и средств их обеспечения.

10.

«Режим защиты информации устанавливается:
в отношении сведений, отнесенных к государственной
тайне, - уполномоченными органами на основании Закона
Российской Федерации «О государственной тайне»;
в отношении конфиденциальной документированной
информации - собственником информационных ресурсов
или уполномоченным лицом на основании настоящего
Федерального закона;
в отношении персональных данных - федеральным
законом.»
Здесь явно выделены три вида защищаемой
информации, ко второму из которых принадлежит, в
частности, коммерческая информация.
Обратим внимание, что защиту государственной тайны и
персональных данных берет на себя государство; за
другую конфиденциальную информацию отвечают ее
собственники.

11.

Для защиты информации закон предлагает универсальные
средства: лицензирование и сертификацию. Ст. 19.
ИС, базы и банки данных, предназначенные для ИО
граждан и организаций, подлежат сертификации в порядке,
установленном Законом РФ «О сертификации продукции
и услуг».
ИС органов государственной власти РФ и органов
государственной власти субъектов РФ, других
государственных органов, организаций, которые
обрабатывают документированную информацию с
ограниченным доступом, а также средства защиты этих
систем подлежат обязательной сертификации.
Организации, выполняющие работы в области
проектирования, производства средств защиты
информации и обработки персональных данных, получают
лицензии на этот вид деятельности.
Интересы потребителя информации при использовании
импортной продукции в ИС защищаются таможенными
органами Российской Федерации на основе международной
системы сертификации.

12.

статья 22:
Владелец документов, массива документов, ИС обеспечивает
уровень защиты информации в соответствии с
законодательством РФ.
Риск, связанный с использованием несертифицированных ИС и
средств их обеспечения, лежит на собственнике (владельце)
этих систем и средств. Риск, связанный с использованием
информации, полученной из несертифицированной системы,
лежит на потребителе информации.
Собственник документов, массива документов, ИС может
обращаться в организации, осуществляющие сертификацию
средств защиты ИС и ИР, для проведения анализа
достаточности мер защиты его ресурсов и систем и получения
консультаций.
Владелец документов, массива документов, ИС обязан
оповещать собственника ИР и (или) ИС о всех фактах
нарушения режима защиты информации.
статья 23 «Защита прав субъектов в сфере
информационных процессов и информатизации»
Защита прав субъектов в указанной сфере осуществляется
судом, арбитражным судом, третейским судом с учетом
специфики правонарушений и нанесенного ущерба.

13.

Статья 5 касается юридической силы электронного
документа и электронной цифровой подписи:
Юридическая сила документа, хранимого,
обрабатываемого и передаваемого с помощью
автоматизированных информационных и
телекоммуникационных систем, может подтверждаться
электронной цифровой подписью.
Юридическая сила электронной цифровой подписи
признается при наличии в автоматизированной
информационной системе программно-технических
средств, обеспечивающих идентификацию подписи, и
соблюдении установленного режима их использования.
Право удостоверять идентичность электронной цифровой
подписи осуществляется на основании лицензии.
Порядок выдачи лицензий определяется
законодательством Российской Федерации.

14. 2. Другие законы и нормативные акты;

Закон «О лицензировании отдельных видов деятельности» от 8
августа 2001 года номер 128-ФЗ (Принят Государственной Думой 13
июля 2001 года).
Лицензия - специальное разрешение на осуществление конкретного
вида деятельности при обязательном соблюдении лицензионных
требований и условий, выданное лицензирующим органом
юридическому лицу или индивидуальному предпринимателю.
Лицензируемый вид деятельности - вид деятельности, на
осуществление которого на территории Российской Федерации
требуется получение лицензии в соответствии с настоящим
Федеральным законом.
Лицензирование - мероприятия, связанные с предоставлением
лицензий, переоформлением документов, подтверждающих наличие
лицензий, приостановлением и возобновлением действия лицензий,
аннулированием лицензий и контролем лицензирующих органов за
соблюдением лицензиатами при осуществлении лицензируемых видов
деятельности соответствующих лицензионных требований и условий.

15.

Лицензирующие органы - федеральные органы
исполнительной власти, органы исполнительной власти
субъектов Российской Федерации, осуществляющие
лицензирование в соответствии с настоящим
Федеральным законом.
Лицензиат - юридическое лицо или индивидуальный
предприниматель, имеющие лицензию на осуществление
конкретного вида деятельности.»

16.

Статья 17 Закона устанавливает перечень видов
деятельности, на осуществление которых требуются
лицензии:
распространение шифровальных (криптографических)
средств (ШКС);
техническое обслуживание ШКС;
предоставление услуг в области шифрования информации;
разработка и производство ШКС, защищенных с
использованием ШКС информационных систем,
телекоммуникационных систем;
выдача сертификатов ключей электронных цифровых
подписей, регистрация владельцев электронных цифровых
подписей, оказание услуг, связанных с использованием
электронных цифровых подписей и подтверждением
подлинности электронных цифровых подписей;

17.

выявление электронных устройств, предназначенных
для негласного получения информации, в помещениях и
технических средствах (за исключением случая, если
указанная деятельность осуществляется для обеспечения
собственных нужд юридического лица или индивидуального
предпринимателя);
разработка и (или) производство средств защиты
конфиденциальной информации;
техническая защита конфиденциальной информации;
разработка, производство, реализация и приобретение в
целях продажи специальных технических средств,
предназначенных для негласного получения информации,
индивидуальными предпринимателями и юридическими
лицами, осуществляющими предпринимательскую
деятельность.

18.

Основными лицензирующими органами в области
защиты информации являются
Федеральное агентство правительственной связи и
информации (ФАПСИ) ведает всем, что связано с
криптографией,
Гостехкомиссия лицензирует деятельность по защите
конфиденциальной информации. Эти же организации
возглавляют работы по сертификации средств
соответствующей направленности.
Кроме того, ввоз и вывоз средств криптографической
защиты информации (шифровальной техники) и
нормативно-технической документации к ней может
осуществляться исключительно на основании лицензии
Министерства внешних экономических связей
Российской Федерации, выдаваемой на основании
решения ФАПСИ.

19.

Основными лицензирующими органами в области
защиты информации являются
Федеральное агентство правительственной связи и
информации (ФАПСИ) ведает всем, что связано с
криптографией,
Гостехкомиссия лицензирует деятельность по защите
конфиденциальной информации. Эти же организации
возглавляют работы по сертификации средств
соответствующей направленности.
Кроме того, ввоз и вывоз средств криптографической
защиты информации (шифровальной техники) и
нормативно-технической документации к ней может
осуществляться исключительно на основании лицензии
Министерства внешних экономических связей
Российской Федерации, выдаваемой на основании
решения ФАПСИ.

20.

В эпоху глобальных коммуникаций важную роль играет
Закон «Об участии в международном
информационном обмене» от 4 июля 1996 года номер
85-ФЗ (принят Государственной Думой 5 июня 1996 года). В
нем, как и в Законе «Об информации...», основным
защитным средством являются лицензии и сертификаты.

21.

10 января 2002 года Президентом был подписан очень
важный закон «Об электронной цифровой подписи»
номер 1-ФЗ, развивающий и конкретизирующий
приведенные выше положения закона «Об информации...».
Его роль поясняется в статье 1.
Целью настоящего Федерального закона является
обеспечение правовых условий использования
электронной подписи в электронных документах, при
соблюдении которых электронная подпись в электронном
документе признается равнозначной собственноручной
подписи в документе на бумажном носителе.
Действие настоящего Федерального закона
распространяется на отношения, возникающие при
совершении гражданско-правовых сделок и в других
предусмотренных законодательством Российской
Федерации случаях. Действие настоящего Федерального
закона не распространяется на отношения, возникающие
при использовании иных аналогов собственноручной
подписи.

22.

Закон вводит следующие основные понятия:
Электронный документ - документ, в котором
информация представлена в электронно-цифровой форме.
Электронная подпись - реквизит электронного документа,
предназначенный для защиты данного электронного
документа от подделки, полученный в результате
криптографического преобразования информации с
использованием закрытого ключа электронной подписи и
позволяющий идентифицировать владельца сертификата
ключа подписи, а также установить отсутствие искажения
информации в электронном документе.
Владелец сертификата ключа подписи - физическое
лицо, на имя которого удостоверяющим центром выдан
сертификат ключа подписи и которое владеет
соответствующим закрытым ключом электронной подписи,
позволяющим с помощью средств электронной цифровой
подписи создавать свою электронную подпись в
электронных документах (подписывать электронные
документы).

23.

Средства электронной подписи - аппаратные и (или)
программные средства, обеспечивающие реализацию хотя
бы одной из следующих функций: создание ЭП в
электронном документе с использованием закрытого ключа
электронной подписи, подтверждение с использованием
открытого ключа электронной подписи подлинности
электронной подписи в электронном документе, создание
закрытых и открытых ключей электронных подписей.
Сертификат средств электронной подписи - документ на
бумажном носителе, выданный в соответствии с правилами
системы сертификации для подтверждения соответствия
средств электронной подписи установленным требованиям.
Закрытый ключ электронной подписи - уникальная
последовательность символов, известная владельцу
сертификата ключа подписи и предназначенная для
создания в электронных документах электронной подписи с
использованием средств электронной подписи.

24.

Открытый ключ электронной подписи - уникальная
последовательность символов, соответствующая
закрытому ключу ЭП, доступная любому пользователю
информационной системы и предназначенная для
подтверждения с использованием средств ЭП подлинности
ЭП в электронном документе.
Сертификат ключа подписи - документ на бумажном
носителе или электронный документ с ЭП уполномоченного
лица удостоверяющего центра, которые включают в себя
открытый ключ ЭП и выдаются удостоверяющим центром
участнику информационной системы для подтверждения
подлинности ЭП и идентификации владельца сертификата
ключа подписи.
Подтверждение подлинности ЭП в электронном
документе - положительный результат проверки
соответствующим сертифицированным средством ЭП с
использованием сертификата ключа подписи
принадлежности ЭП в электронном документе владельцу
сертификата ключа подписи и отсутствия искажений в
подписанном данной ЭП в электронном документе.

25.

Пользователь сертификата ключа подписи - физическое
лицо, использующее полученные в удостоверяющем
центре сведения о сертификате ключа подписи для
проверки принадлежности ЭП сертификата ключа подписи.
Информационная система общего пользования информационная система, которая открыта для
использования всеми физическими и юридическими
лицами и в услугах которой этим лицам не может быть
отказано.
Корпоративная информационная система информационная система, участниками которой может
быть ограниченный круг лиц, определенный ее владельцем
или соглашением участников этой информационной
системы.

26.

Согласно Закону, электронная подпись в электронном
документе равнозначна собственноручной подписи в
документе на бумажном носителе при одновременном
соблюдении следующих условий:
сертификат ключа подписи, относящийся к этой
электронной подписи, не утратил силу (действует) на
момент проверки или на момент подписания электронного
документа при наличии доказательств, определяющих
момент подписания;
подтверждена подлинность электронной подписи в
электронном документе;
Электронная подпись используется в соответствии со
сведениями, указанными в сертификате ключа подписи.

27.

Закон определяет сведения, которые должен
содержать сертификат ключа подписи:
уникальный регистрационный номер сертификата ключа
подписи, даты начала и окончания срока действия
сертификата ключа подписи, находящегося в реестре
удостоверяющего центра;
фамилия, имя и отчество владельца сертификата ключа
подписи или псевдоним владельца. В случае
использования псевдонима запись об этом вносится
удостоверяющим центром в сертификат ключа подписи;
открытый ключ ЭП;
наименование средств ЭП, с которыми используется
данный открытый ключ ЭП;
наименование и местонахождение удостоверяющего
центра, выдавшего сертификат ключа подписи;
сведения об отношениях, при осуществлении которых
электронный документ с ЭП будет иметь юридическое
значение.